MALUKU UTARA — Data pribadi yang kembali viral di ruang digital belum tentu berasal dari peretasan baru, melainkan kebocoran lama yang terus beredar dan diperjualbelikan. Direktur Eksekutif Indonesia ICT Institute Heru Sutadi menilai penelusuran asal-usul data menjadi kunci untuk memutus rantai peredarannya. Tanpa langkah itu, penanganan kasus hanya menyentuh ujung persoalan.
Heru Sutadi menyampaikan hal tersebut pada Rabu (7/10/2026) menanggapi fenomena data bocor yang kembali ramai dibicarakan di berbagai platform digital. Menurutnya, data yang pernah bocor bisa tersimpan bertahun-tahun, disalin, lalu muncul lagi ke permukaan kapan saja.
Ia menegaskan bahwa kemunculan kembali data lama tidak otomatis menandakan adanya insiden peretasan baru. "Data pribadi yang sudah pernah bocor dapat terus beredar, disalin, diperjualbelikan dan digunakan kembali untuk berbagai kepentingan yang merugikan. Jadi yang hari ini sedang viral bukan berarti informasi data pribadi yang baru dicuri atau diretas," kata Heru Sutadi.
Menelusuri Asal Data, Bukan Sekadar Menutup Situs
Persoalan menjadi lebih rumit ketika data lama kembali muncul. Menurut Heru, langkah pertama yang perlu dilakukan adalah menelusuri kapan data tersebut pertama kali keluar dari sistem dan dari mana sumbernya.
"Karena itu, yang penting sekarang adalah bagaimana kita menelusuri dari mana data tersebut berasal dan bagaimana rantai peredarannya sampai masih dapat ditemukan dan diperjualbelikan saat ini," ungkapnya.
Penelusuran itu, lanjut Heru, harus mencakup sistem atau sumber yang pertama kali menyimpan data, pihak-pihak yang punya akses saat kebocoran terjadi, hingga kemungkinan data pernah diserahkan ke pihak ketiga. Ia menekankan penanganan tidak boleh berhenti hanya dengan menutup situs atau kanal yang memperjualbelikan data saat ini.
"Serta apakah pernah diberikan kepada pihak ketiga, bagaimana data berpindah tangan, hingga siapa yang saat ini memperdagangkannya. Ini penting agar penanganannya tidak hanya menyentuh bagian paling ujung, tetapi juga dapat menemukan sumber persoalannya," jelas Heru.
Ia mendorong forensik digital, pemeriksaan log, audit akses, penelusuran terhadap pihak ketiga, serta pemeriksaan sistem yang pernah menyimpan maupun memproses data tersebut.
Data Lama Bisa Dikombinasikan untuk Modus Kejahatan Digital
Risiko penyalahgunaan meningkat karena data lama dapat digabungkan dengan informasi yang lebih baru. Kombinasi itu berpotensi membentuk profil seseorang yang kemudian dipakai untuk berbagai modus kejahatan digital.
"Ini semakin penting karena data yang pernah bocor dapat dikombinasikan dengan data lain yang lebih baru, hingga dimanipulasi menjadi data yang belum tentu benar," ungkapnya.
Menurut Heru, potongan informasi seperti identitas, nomor telepon, alamat, pekerjaan, hingga informasi keluarga bisa dirangkai menjadi profil lengkap. Profil itu lalu dimanfaatkan untuk phishing, impersonasi, social engineering, atau penipuan.
Ia menambahkan risiko ini tidak memandang jabatan maupun status sosial. Data pejabat, aparat, pegawai pemerintah, dan masyarakat umum sama-sama berpotensi menjadi sasaran. Pada kelompok tertentu, kombinasi data pribadi dengan informasi jabatan justru memperbesar risiko keamanan.
"Karena itu, kasus ini sebaiknya menjadi momentum untuk memperkuat tata kelola pelindungan data di Indonesia," tegasnya.
UU PDP Sudah Ada, Lembaga Pengawas Diminta Segera Dibentuk
Indonesia sebenarnya sudah memiliki Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Namun menurut Heru, masih ada tantangan besar untuk memastikan implementasinya berjalan efektif, mulai dari pengawasan dan pencegahan hingga penanganan saat insiden terjadi.
Ia menilai pembentukan Lembaga Pelindungan Data Pribadi perlu segera dilakukan. Lembaga itu merupakan amanah UU PDP dan dibutuhkan untuk mengatur, mengawasi, serta mengendalikan pelindungan data pribadi di Indonesia.
"Namun, upaya meningkatkan keamanan dan pelindungan data tidak mungkin dibebankan kepada satu pihak saja," lanjutnya.
Menurut Heru, pelindungan data menuntut kerja sama seluruh ekosistem: pemerintah dan regulator, Badan Siber dan Sandi Negara (BSSN), aparat penegak hukum, pengendali dan prosesor data, penyelenggara sistem elektronik, platform digital, penyedia teknologi, hingga masyarakat sebagai pemilik data.
"Masing-masing memiliki peran. Pemerintah dan regulator memperkuat kebijakan dan pengawasan, pengelola sistem memastikan keamanan sejak desain dan sepanjang siklus hidup data, aparat menindak perdagangan dan penyalahgunaan data," urainya.
"Platform membantu mencegah penyebaran ilegal, sementara masyarakat tetap perlu meningkatkan kewaspadaan dalam menjaga data pribadinya," sambungnya.
Heru menekankan pentingnya kolaborasi nasional untuk membangun sistem pelindungan data yang mampu mencegah, mendeteksi, dan merespons insiden secara cepat. Organisasi yang mengelola data pribadi juga diminta mengetahui secara jelas data apa yang dimiliki, siapa yang bisa mengaksesnya, untuk tujuan apa data digunakan, kepada siapa data diberikan, berapa lama disimpan, dan kapan harus dihapus sesuai ketentuan.
